Suomen televisiot näkyvät muita useammin nettiin - miksi?

Viime viikon varoitus LG-televisioiden haavoittuvuudesta sai tutkimaan, miten televisiot näkyvät julkiseen internetiin. Tekninen selvitys haavoittuvuuksista on luettavissa ne löytäneen Bitdefenderin omalta sivulta. Selityksestä päätellen ne ovat varsin vakavia. Jos palomuuri ei suojaa haavoittuvaa televisiota, ulkopuolinen hakkeri voi ottaa sen haltuunsa ja sitä kautta edetä kodin sisäverkkoon ja jos huonosti käy, vaikka etäyhteyden tai läppärin mukana yritysverkkoon.

Haavoittuvuus koskee vain tiettyjä LG-televisioiden malleja. 

Television firmware-ohjelman päivittäminen on tärkeää.

Kummassakaan omassa LG-televisioissa Auto Update ei ollut kaupasta ostettaessa päällä. Televisio kuitenkin ilmoittaa aina kun uusi firmware on saatavilla, joten päivittäminen vaatii vain yhden painalluksen. Varmuuden vuoksi kannattaa laittaa asetus täydelle automatiikalle, sillä kaikki ihmiset eivät ymmärrä päivittämisen merkitystä.

Kiinnostavaa kyllä, Shodan-hakukone löytää netistä 89 304 julkiseen verkkoon näkyvää LG-televisiota, joista peräti 6 251 (7 %) on Suomessa ja 2 484 (2,8 %) Elisan verkossa. 

Haavoittuvat LG-televisiot avoimena netissä.

Eniten televisioita on Koreassa, mikä on helppo ymmärtää. Sitten tulevat Hongkong, USA ja Ruotsi vain hieman Suomea suuremmilla määrillä.

Lukema yllättää, sillä LG:n markkinaosuuden ei pitäisi pohjoismaissa olla mitenkään muista poikkeava. Myös tietoturvassa pohjoismaita pidetään hyvinä. 

Tein kyselyn myös Sonyn televisioilla. Kyse ei ole haavoittuvuuksista, vaan ylipäätään nettiin näkyvistä Sony-televisioista. Yksittäisessä mallissa (Bravia KD-55XF9005) kärkeen nousevat Suomi (31 kpl) ja Latvia (30). Kaikissa Bravia-malleissa tilanne on tämä:

Sony Braviat näkyvissä netissä.

Jälleen kerran korostuvat Hongkong, Yhdysvallat, Suomi ja Ruotsi. Uutena maana mukana on Japani. Myös operaattorijakauma on kiinnostava. Listalla Elisa on viides (287 kpl), DNA kuudes (277) ja Telia yhdeksäs (223). Telenor ja Tele2 tulevat kauempana perässä, mutta ovat kuitenkin listalla.

Mistä johtuu, että pohjoismaissa on niin paljon suojaamattomia LG- ja Sony-televisioita avoimina nettiin? En osaa selittää asiaa, sillä oletan että älytelevisiot ovat yhtä yleisiä muuallakin Länsi-Euroopassa.

Ehkä operaattorien laajakaistaverkot ovat meillä erilaisia (enemmän portteja auki, vähemmän estoja), niin että asiakkaiden sisäverkot näkyvät helpommin nettiin? Tai sitten taustalla vaikuttaa mobiilidatan suuri osuus. Ehkä kotilaitteita käytetään mobiilidatalla ja seinästä tuleva laajakaistayhteys on vedetty ethernetillä suoraan televisioon, ilman palomuuria (jollaisena yleensä toimii wifi-reititin)?

Joka tapauksessa tilasto osoittaa tarpeelliseksi Supon muistutuksen kotilaitteiden tietoturvasta. Tarkista, että oma telkkarisi on palomuurin turvallisemmalla puolella. 

Älykkäät kodinkoneet tuovat esimakua älykodista

Älypuhelin ja älytelevisio löytyvät jo melkein joka kodista, mutta älykkäiden kodinkoneiden aika on vasta alkamassa. Olen hankkinut useita älylaitteita kokeillakseni, millaisia näkökulmia niistä avautuu tulevaisuuden älykotiin. Koska älykoti auttaa säästämään sähköä ja optimoi lämmitystä, aiheen luulisi kiinnostavan muitakin suomalaisia. USA:ssa ala on paljon pidemmällä.

Millaisia älylaitteet sitten ovat? Ozmo-älymuki mittaa juodun veden tai kahvin määrää ja raportoi sen älypuhelimelle. Suomen oloissa se ei ole kovin hyödyllinen, sillä riittämätön nesteytys on harvoin ongelma. Pikemminkin päinvastoin.

Ozmo raportoi juodun nesteen määrän älypuhelimelle.

Ozmon juomistiedot saa siirtymään iPhonen terveyssovellukseen, mutta harmillisesti ei Fitbitiin. Sen sijaan Withingsin älyvaaka siirtää painon ja rasvaprosentin ongelmitta Fitbitiin (ja nythän kyse on jo Nokian älyvaa'asta, koska yhtiö osti viime vuonna Withingsin).

Nettiyhteydellä ohjattava vedenkeitin on hankala asentaa ja toimii epäluotettavasti, mutta Smarter-kahvinkeitin on jo parempi: sen yläosassa on pieni kahvimylly, joka jauhaa halutun määrän papuja ja suodattaa siitä kahvia pannuun.

Älypuhelimella ohjattava kahvinkeitin.

Kyseessä ei ole kahviautomaatti, joten suodatinpaperi pitää muistaa vaihtaa joka käytön jälkeen, mutta on silti hauskaa valita sängystä nousematta kuppien määrä ja aamukahvin vahvuusaste älypuhelimella. Sen jälkeen keittiöstä alkaa kuulua kahvimyllyn surina ja vähän myöhemmin keitin porisee iloisesti.

Montako kuppia laitetaan?

Boschilla ja Samsungilla on wlan-verkkoon liitettäviä pesukoneita. Hyödyllisimmältä vaikuttaa kuitenkin Bosch-jääkaappi, joka mainoksen sanoin "lähettää itsestään selfien". Jääkaapissa on kaksi kameraa, joiden ottamia kuvia voi tarkastella ruokakaupassa omalta älypuhelimelta. Eipähän tarvitse muistella, oliko maitoa tarpeeksi. Jääkaapin hinta on 1599 euroa, mikä rajaa ostajat vielä nörtteihin ja vekotinhulluihin.

Bosch-jääkaapissa on kaksi kameraa

Samsungin vastaava jääkaappi on kaksiovinen, joista toisessa on 21 tuuman näyttö. Laite tulee myyntiin Suomessa 5500 euron hintaan. Gigantin myyjä kertoi, että kaksi on jo tilattu -- toinen yritykseen ja toinen yksityiskotiin. USAssa kaappi osaa itse tilata ruokaa, mutta sellaista palvelua ei Suomessa vielä tarjota.

Samsungin älyjääkaapin toisessa ovessa on iso näyttö.

Toinen aidosti hyödylliseksi osoittautunut järjestelmä on Philipsin Hue-valotekniikkaa. Tarjolla on niin led-nauhaa kuin E27-kantaisia lamppuja, joiden väriä ja kirkkautta voi säätää älypuhelimella tai seinään ruuvattavilla langattomilla kytkimillä. Valoja voi tietenkin ajastaa ja niihin saa monia hauskoja sovelluksia, kuten musiikin tahdissa välkkyvät värivalot tai sovellus, joka säätää värin kameran näkemän kuvan mukaan.

Älylaitteet ovat hauskoja, mutta niistä oikeasti saatava hyöty on vielä epävarmaa. IoT-visioissa (Internet of Things) kuvaillaan, miten älykäs leivänpaahdin juttelee pölynimurille -- mutta mitähän sanottavaa sillä mahtaa olla?

Vielä tänä päivänä juttelu ei muutenkaan onnistu, sillä jokaisella valmistajalla on oma standardinsa. Esimerkiksi Boschin HomeConnect ei juttele minkään ulkopuolisen järjestelmän kanssa, eikä jääkaappi siten voi kertoa auki jääneestä ovesta muulle älykodille saati vaihtaa keittiön kattovaloa punaiseksi hälytyksen merkiksi.

Toinen iso kysymys on tietoturva. Haluammeko tosiaan, että leivänpaahdin ja kahvinkeitin alkavat tuottaa samoja ongelmia kuin tietokoneet? Siis unohtuvia salasanoja, tietoturva-aukkoja ja jatkuvia päivityksiä? Kuinka moni uskaltaisi ohjata ulko-ovensa lukkoa tietokoneella?

Kahvinkeittimen firmware-päivitys.

Olen päivittänyt kahvinkeittimeni firmwaren viisi kertaa, eikä prosessi ole mitenkään helppo. En tiedä, mitä päivitykset ovat korjanneet, mutta ainakin kannun tunnistaminen on yhtä epäluotettavaa kuin aina ennenkin. Kyseessä lienee tyyppivika, sillä käyttöohjekin puhuu asiasta ja sanoo, että tunnistuksen voi poistaa käytöstä -- omalla vastuulla. Ilman tunnistusta kahvi valuu pöydälle, mikäli kannu on unohtunut laittaa paikalleen. Että sellaista älyä. Mutta hei, pioneerin osa on joskus raskas.

Iot-laitteiden tietoturvasta ja vaikutuksista kodin turvallisuuteen voisi kirjoittaa melkein kirjan. Todetaan nyt vain, että seuraukset ovat "mielenkiintoisia", niin yksilön kuin myös kansallisen turvallisuuden tasolla.

Entä tulevaisuus? Millainen on tulevaisuuden älykoti? Mielikuvitus lähtee helposti laukkaamaan, sillä mahdollisuudet ovat rajattomat.

Puheohjaus on varma valinta. Jo nyt pystyn ohjaamaan Philipsin Hue -valoja Amazon Echo -laitteelle puhumalla. Kun sanon "Alexa, bedroom lights on", valot syttyvät, ja sammuvat off-komennolla. Valojen väriäkin voi muuttaa pyytämällä.

Suomen markkinoilla ei juuri ole laitteita, joita Echo tukisi suoraan, mutta USA:ssa sille (tai iPhone Sirille) puhumalla voi säätää mm. eri huoneiden lämpötilaa ja tarkistaa ulko-oven lukituksen. Loistavia juttuja kaikki, esimerkiksi vanhusten pärjäämistä ajatellen (sitten kun laitteet ymmärtävät suomea).

Ikkunat ovat taloissa turhia, sillä isoilla näyttöpinnoilla voidaan loihtia päivä- tai yönäkymä tarpeen mukaan. Kesä vaihtuu talveksi tai päinvastoin, aamu illaksi ja niin edelleen.

Tieteiselokuvissa on jo pitkään ollut seinän kokoisia näyttöjä. Sonyn Cledis-tekniikalla voi rakentaa mielivaltaisen isoja näyttöpintoja, joissa kuvan tarkkuus ja värit ovat uskomattoman hienoja.

Seinän kokoinen Sony Cledis.

Cledis-näyttö koostuu moduleista, joita voi latoa rinnakkain ja päällekkäin. Jokainen näyttö on itsenäinen tietokone ja liittyy naapuriin ilman mitään havaittavaa saumaa. Vaikutelma on huikea -- entä jos kodin kaikki seinät olisivat tällaisia? Seinäpinnat ja tapetit voisi vaihtaa napin painalluksella, "ikkunoita" luoda mihin tahansa kohtaa seinää ja osa huonekaluistakin voisi olla virtuaalisia.

Tietoturvaongelmista, päivityksistä ja muita harmeista huolimatta jaksan tuskin odottaa!

Linux - netin suurin tietoturvauhka

Yllättävää kyllä, Linuxista on tullut netin suurin tietoturvauhka. Lokakuun lopun Mirai-hyökkäys netin nimipalvelua vastaan osoitti, miten vielä muutama vuosi sitten harmittomina pidetyillä valvontakameroilla ja itkuhälyttimillä voidaan tukkia nimekkäitä nettipalveluita. Tätä harva osasi kuvitella vielä muutama vuosi sitten.

Huoli IoT-laitteiden ("esineiden internet", käytännössä nettiin kytketyt kodinkoneet ym. ei-tietokonelaitteet) turvallisuudesta heräsi jokin aika sitten osana laajempaa kyberturvallisuusajattelua. Olemme kiinnittäneet paljon huomiota tietokoneisiin ja palvelimiin, joita päivitetään säännöllisesti. Muut laitteet ovat jääneet vähemmälle huomiolle.

Kodin älylaitteiden (riista- ja valvontakamerat, itkuhälyttimet, televisiot ym.) tietoturvassa on kaksi isoa ongelmaa. Ensinnäkin niiden päivittäminen on hankalaa tai tyystin mahdotonta. Valmistaja unohtaa myymänsä laitteet saman tien eikä tarjoa niihin päivitysmahdollisuutta, eikä kaikissa laitteissa ole edes komentoja, joilla päivityksen voisi tehdä.

Toiseksi laitteet kilpailevat halvalla hinnalla ja ominaisuuksien suurella määrällä, mikä on huono yhdistelmä. Valmistajat eivät kiinnitä huomiota tietoturvaan, koska sillä ei ole merkitystä myynnin kannalta. Tämä ajattelu on nyt kostautunut.

Monissa pienlaitteissa nettiyhteydestä ja perustoiminnoista vastaa karsittu Linux, joka on upotettu (embedded) laitteeseen sellaisenaan, black box -periaatteella. Lokakuussa levinnyt Mirai-haittaohjelma kokeilee yleisiä käyttäjätunnuksia ja salasanoja, ja sisään päästyään lataa itsestään kopion laitteen muistiin. Se alkaa etsiä uusia uhreja ja odottaa samalla ohjeita komentopalvelimelta. Palvelin voi käskeä esimerkiksi tekemään palvelunestohyökkäyksen haluttuun ip-osoitteeseen.

On vähän epäoikeudenmukaista syyttää IoT-laitteiden saastumisesta Linuxia, mutta jos kyse olisi Windowsista, tehtäisiin juuri niin -- paitsi että Windowsissa ei ole telnetd- ja ssh-ominaisuuksia, joita Mirai käyttää. Tässä suhteessa Windows olisi ollut turvallisempi valinta. Linux olisi turvallinen, jos laitteet olisi tehty oikein. Mitä järkeä on avata pääsy kameran muistiin, vaikka käyttäjä tietäisikin oikean tunnuksen ja salasanan? Hänen pitäisi ainoastaan nähdä valvontakameran kuvat tai kuulla itkuhälyttimen ääni, mutta muistiin ei ole mitään asiaa.

Hyvä puoli on, ettei IoT-laitteissa useinkaan ole pysyvää muistia, joten mato jää keskusmuistiin ja kuolee, kun sähkö katkaistaan. Suojaamaton laite tosin saastuu nopeasti uudelleen, sillä tartuntayrityksiä riittää netissä tälläkin hetkellä.

Toinen hyvä puoli on, että Mirain käyttämä salasanalista on yksinkertainen ja sisältää vain englanninkielisiä sekä laitevalmistajien vakiosalasanoja. Suomalainen käyttäjä on turvassa, kunhan muistaa vaihtaa salasanaksi vaikka "salasana" tai "johanna" (joka on jostain syystä Suomen yleisimpiä salasanoja). Vahva salasana on tietenkin parempi, mutta Mirain torjumiseksi riittää melkein mikä tahansa suomen kielen sana.

Tekniikka ja talous uutisoi viime viikolla, että tutkijan kokeilussa kotireitittimeen yritettiin murtautua lähes 5000 kertaa vuorokaudessa. Luku tuntui korkealta, joten katsoin oman testilaitteeni tilastot. Sen lokiin oli kertynyt alkuvuodessa keskimäärin 1259 yhteydenottoa joka vuorokausi. Silmämääräisesti arvioiden jokaiseen yritykseen liittyi 2-4 yhteydenottoa samasta IP-osoitteesta, joten efektiivinen yritysten määrä oli ehkä 300-500 kappaletta vuorokaudessa.

Lukua voi verrata vuoden 2013 palomuuriraporttiin, jossa yhteydenottoja oli keskimäärin 163 kappaletta vuorokaudessa. Kolmessa vuodessa koputtelujen määrä on lähes kymmenkertaistunut ja kuluneen vuoden aikana vähintään kolminkertaistunut:

Koputtelujen määrä kolminkertaistunut alkuvuodesta.

Kun tarkastellaan pelkkiä 23-portin (Telnet) yhteyksiä, trendi näkyy vielä selvemmin:

Portti 23

Telnetiä käyttävien matojen määrä on moninkertaistunut alkuvuodesta. IoT-turvaongelmat ovat epäilemättä tämän vuoden tietoturvatrendi -- ja se johtuu epäsuorasti Linuxista.